hMailServer : interprétation erronée du fichier CA avec un client MySQL sous Windows

Veille sécuritéBackend & données

P3Élevée

Dans certaines configurations Windows d’hMailServer avec une base MySQL, un nom de fichier de certificat CA contenant des caractères non ASCII peut être interprété par OpenSSL comme désignant un autre fichier. Un attaquant local pouvant créer ce fichier et intercepter la connexion à la base peut faire confiance à sa propre autorité de certification et lire ou modifier le trafic, notamment le mot de passe de base de données.

IdentifiantCVE-2026-126609

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-126609

Analyse technique

Le problème concerne le traitement du nom du fichier CA et l’ouverture subséquente par OpenSSL. Le connecteur MariaDB fourni n’est pas affecté par ce cas précis ; le paramétrage concerné n’est pas celui par défaut.

Impact, versions et correctif

Événement datéPublication NVD horodatée le 2026-11-11T09:17:12.687Z, dans la période demandée. La mise à jour NVD du 2026-11-12 est postérieure à la fenêtre.

ImpactUn attaquant local capable d’intercepter la connexion peut faire accepter un certificat contrôlé par lui et compromettre la confidentialité et l’intégrité du trafic entre hMailServer et la base.

Versions affectéeshMailServer 6.2.25 à 6.3.7 sous Windows, avec les paramètres TLS et fichier CA décrits ; pour MySQL, le cas indiqué concerne l’utilisation d’une bibliothèque cliente Oracle MySQL à la place du connecteur MariaDB fourni

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

EPSS0,17% · percentile 6,7%

Publication2026-11-11T09:17:12.687Z

Action recommandée

Vérifier la configuration TLS et le client MySQL utilisés ; appliquer une version hMailServer corrigée dès qu’elle est disponible.

Sources

NVD — CVE-2026-126609

Priorisation DFS : P3 · 1 source(s).